Seit dem 2. August 2026 gelten weitere Pflichten der KI-Verordnung. Nach der Änderung vom Juli 2026 laufen zentrale Hochrisikofristen jedoch später ab. Vergabestellen müssen daher Pflicht, Rolle und Einsatzfall einzeln zuordnen.
Nicht alle Anforderungen beginnen gleichzeitig
Die konsolidierte KI-Verordnung unterscheidet mehrere Anwendungszeitpunkte. Die zentralen Regeln für Hochrisikoanwendungen nach Anhang III gelten grundsätzlich ab 2. Dezember 2027, für produktbezogene Hochrisikosysteme nach Artikel 6 Absatz 1 ab 2. August 2028. Transparenzpflichten für bestimmte Systeme sind dagegen bereits seit August 2026 relevant. Übergangsregeln, insbesondere für schon auf dem Markt befindliche Systeme, müssen gesondert geprüft werden.
Beschaffung an konkreten Funktionen ausrichten
Eine Leistungsbeschreibung sollte festhalten, was das System entscheiden oder vorbereiten soll, welche Daten verwendet werden und wo Menschen eingreifen. Bei einem Chatbot sind andere Risiken zu prüfen als bei einem System für Personalentscheidungen. Anbieter- und Betreiberpflichten können nicht beliebig durch eine pauschale Vertragsklausel auf die andere Partei verlagert werden.
Vertrag und Vergabeverfahren zusammen denken
Qualitätsprüfungen, Dokumentation, Protokolle, Sicherheitsvorfälle, Modellwechsel und Ausstieg müssen zur tatsächlichen Nutzung passen. Geschäftsgeheimnisse und personenbezogene Daten bleiben auch bei späteren Hochrisikofristen geschützt. Eine KI-gestützte Angebotswertung muss sich an den veröffentlichten Kriterien messen lassen und einer nachvollziehbaren menschlichen Prüfung zugänglich bleiben.
Vier Praxisbeispiele
Die folgenden Fallgestaltungen dienen der Veranschaulichung und beschreiben keine tatsächlichen Mandate. Die rechtliche Bewertung hängt von den Unterlagen und Umständen der konkreten Vergabe ab.
Praxisbeispiel 1: Bürger-Chatbot
Eine Behörde plant einen KI-Chatbot für allgemeine Auskünfte. Sie prüft insbesondere, wann Nutzer über die Interaktion mit KI zu informieren sind. Eine bloße Herstellerzusage „AI-Act-konform“ ersetzt weder diese Prüfung noch geeignete Abnahmetests.
Praxisbeispiel 2: Unterstützung bei Personalauswahl
Eine öffentliche Stelle beschafft eine Anwendung zur Bewertung von Bewerbungen. Der konkrete Verwendungszweck kann für die Hochrisikoeinordnung entscheidend sein. Die späteren Fristen sollten im Vertrag berücksichtigt werden, statt laufende Datenschutz- und Diskriminierungsrisiken auszublenden.
Praxisbeispiel 3: Angebote in einem KI-Dienst
Eine Vergabestelle möchte vollständige Angebote automatisch zusammenfassen lassen. Vor dem Upload sind Vertraulichkeit, Zugriffe, Trainingsnutzung und Löschung zu klären. Das Entfernen des Bieternamens schützt technische Geheimnisse und Kalkulationsdaten nicht automatisch.
Praxisbeispiel 4: Modellwechsel im laufenden Vertrag
Ein Auftragnehmer will das vereinbarte Modell durch einen anderen Dienst ersetzen. Neben Datenschutz und Qualität sind Vertragsrechte und die vergaberechtliche Zulässigkeit der Änderung zu prüfen. Eine flexible technische Architektur erlaubt keine beliebige Änderung des Auftrags.
Für die Vorbereitung: KI im Vergabeverfahren und Beschaffung von KI-Systemen · IT- und Cloud-Beschaffung im Vergaberecht · Nachträge und Vertragsänderungen im Vergaberecht
Quellen und weiterführende Informationen
KI-Verordnung, konsolidierte Fassung vom 27. Juli 2026 · EU-Kommission: Anwendungszeitpunkte
Redaktioneller Rückblick, erstellt am 13. November 2026. Das Archivdatum ordnet den Beitrag dem behandelten Ereignis beziehungsweise Themenmonat 2026 zu; spätere Entwicklungen sind ausdrücklich als Aktualisierung gekennzeichnet.